本文使用在设计数据丢失防护策略中学到的过程，演示如何创建Microsoft Purview 数据丢失防护 (DLP) 策略来帮助保护 Endpoint DLP 不支持的文件。 在测试环境中完成这些方案，以熟悉策略创建 UI。
将控件应用于所有不受支持的文件，目前为 预览版。
使用此方案可对不在 “监视的文件 ”列表中的文件应用“审核”、“阻止”或“阻止”，并对其用户活动进行替代控制，而不通过 文件扩展名为 条件枚举所有文件扩展名。 使用此配置创建一个总策略，以对 .mp3、.wav和.dat等文件进行控制。
警告
将控件应用于所有文件是一项强大的功能。 如果在实施它时没有适当的谨慎，则可能会产生意外的后果。 先在非生产环境中测试此策略，然后再将其部署到生产环境。 此示例还演示了如何选择性地 () 从策略范围中排除特定文件扩展名。
重要
在策略配置“作”中选择“审核或限制设备上的活动”作时，将显示“仅对不支持的文件扩展名应用限制”。 仅对不支持的文件扩展名配置选项应用限制不支持按策略位置设置中的设备和设备组的范围。
支持以下作：
- 上传到受限的云服务域
- 复制到可移动 USB 设备
- 复制到网络共享
- 打印
重要
本文介绍一个具有假设值的假设方案。 它仅用于说明目的。 替换你自己的敏感信息类型、敏感度标签、通讯组和用户。
部署策略的方式与策略设计一样重要。 本文 介绍如何使用部署选项，以便策略实现你的意图，同时避免代价高昂的业务中断。
策略意向语句和映射
有许多类型的文件，终结点 DLP 不扫描，比我们可以跟踪的要多。我们不知道这些文件中是否有敏感信息，因此我们希望在用户尝试将这些文件复制到 USB 设备或网络共享之前设置检查点。 我们不希望中断 abc 文件类型的用户工作流，这是众所周知的，并且不会造成数据泄露的威胁。
| 语句 | 配置问题解答和配置映射 |
|---|---|
| “有许多类型的文件终结点 DLP 不扫描,...” | - 管理范围： 完整目录 - 监视位置： 存储在连接的源中的数据、 设备 - 范围： 所有用户、组、设备、设备组 |
| "...我们不希望中断 abc 文件类型的用户工作流，这是众所周知的，并且不会造成数据泄露的威胁。 | - 终结点设置：创建不支持的文件扩展名排除列表，并将文件扩展名 abc 添加到列表中。 |
| "...比我们可以跟踪的更多。我们不知道这些文件中是否有敏感信息，因此我们希望在它们尝试将这些文件复制到 USB 设备或网络共享之前设置检查点...“。 |
- 匹配条件：无法扫描 文档作：选择“审核”或“限制设备上的 活动”-清除“”上传到重新写入的云服务域或从未启用的浏览器 进行访问“-选择”将限制应用于特定活动 “-选择”复制到可移动 USB 设备“，”使用替代 阻止“-选择”复制到网络共享“和”使用替代 阻止“清除”“复制到剪贴板”、使用未安装蓝牙应用打印、复制或移动，并且无法使用 RDP - select 文件复制或移动。 - 选择 仅对不支持的文件扩展名应用限制。 |
重要
此功能与文件扩展名的区别 在于 条件是：
- 终结点 DLP 扫描 文件扩展名为 条件的内容。 例如，可以在事件或警报上看到 “敏感信息类型 ”值;另一方面，此功能不扫描文件内容。
- 文件扩展名是 触发内容扫描的条件可能会消耗更高的计算机资源（如 CPU 和内存），并可能导致某些文件类型的应用程序性能问题。
步骤 tp 将文件类型添加到不支持的文件扩展名排除项
使用此设置可从策略中排除文件扩展名。
- 登录到 Microsoft Purview 门户
- 打开 “设置”>数据丢失防护>终结点 DLP 设置>不支持的文件扩展名排除项。
- 选择 “添加文件扩展名”。
- 提供扩展。
- 选择“保存”。
- 关闭项目。
配置策略作的步骤
- 登录到 Microsoft Purview 门户。
- 打开 数据丢失防护>策略。
- 选择“ 连接源中存储的数据”。
- 选择“创建策略”，然后从“类别”中选择“自定义”，然后选择“法规”中的“自定义策略模板”。
- 为新策略命名并提供说明。
- 选择“管理员单位”下的“完整目录”。
- 将位置范围限定为 “仅设备 ”。
- 创建规则，其中：
- 在 “条件”中：
- 选择“ 无法扫描文档”。
- 在 作中：
- 选择 “审核”或“限制设备上的活动”。
- 清除 “上传到已重述的云服务域”或从未启用的浏览器进行访问。
- 选择 “将限制应用于特定活动”。
- 选择“ 复制到可移动 USB 设备”和“ 使用替代阻止”。
- 选择“ 复制到网络共享”和“ 使用替代阻止”。
- 清除“复制到剪贴板”，使用未安装的蓝牙应用打印、复制或移动，并使用 RDP 复制或移动。
- 选择“ 仅对不支持的文件扩展名应用限制”。
- 在 “条件”中：
- 保存。
- 选择“ 立即启用策略”。 选择“下一步”。
- 查看设置，然后选择“提交”。
重要
在这种情况下，不能将文档与其他条件一起 扫描 。